Računarske mreže

Firewall

• Firewall je sistem koji omogućava filtriranje mrežnog saobrećaja na osnovu seta definiranih pravila.
  • Filtiranje se obično obavlja unutar kernela.
  • Pravila se obično definiraju pomoću user aplikacija i određuju da li sadržaj treba propustiti ili ne.

• Putem firewall-a se formira barijera, obično između saobrećaja u unutrašnjoj mreži i vanjskog saobrećaja (Internet) za kojeg se smatra da je nesiguran.

• Linux kroz netfilter kernel modul implementira koncept firewall-a.
• iptables aplikacija omogućava konfiguraciju netfilter modula i definiciju pravila za filtriranje.
  • pravila se organiziraju u lance,
  • a lanci u tabele.

• Pravila u lancima se procesiraju sekvencijalno, čim neko pravilo odgovara paketu isto se odmah i aplicira.
• Ako niti jedno pravilo ne odgovara paketu, aplicira se pravilo iz default polise.

• Predefinirani lanci:
  • PREROUTING
  • INPUT
  • FORWARD
  • OUTPUT
  • POSTROUTING

• Bitne tabele:
  • filter - za donošenje odluka o blokadi ili propuštanju paketa.
  • nat - za implementaciju koncepta translacije adresa i portova.
  • mangle - za izmjenu zaglavlja paketa na različite načine.
• Default tabela za kreiranje pravila je filter.

• Primjeri prikaza pravila u tabelama:

iptables -L -t nat
iptables -S -t mangle

• Primjeri uspostavljanje default polise:

iptables -t filter -P INPUT ACCEPT
iptables -P FORWARD DROP

• Brisanje svih pravila u tabeli:

iptables -F -t nat
iptables -F

• Primjeri definicije pravila:

iptables -I INPUT -s 198.51.100.0 -j DROP
iptables -I INPUT -p udp --dport 6881 -j ACCEPT
iptables -A INPUT -p tcp -m multiport --destination-ports 22,25,53,80,443,465,5222,5269,5280,8999:9003 -j ACCEPT
iptables -A FORWARD -s 192.168.1.0/24  -d 10.0.1.5 -j DROP
iptables -A FORWARD -i eth1 -o eth2 -j ACCEPT
iptables -A FORWARD -i eth2 -o eth1 -m state --state RELATED,ESTABLISHED -j ACCEPT

NAT (Network Address Translation)

• NAT je procedura koja omogućava da uređaji sa privatnom IP adresom komuniciraju sa uređajima sa javnim IP adresama.

• NAT je improvizacija putem koje je omogućeno da IPV4 adresni prostor funkcioniše sa manjkom javnih IP adresa.
• NAT narušava direktnu vezu između bilo koja dva čvora na Internet-u (end to end connectivity), koja je ključna originalna pretpostavka za optimalanu funkciju IP protokola.

• NAT se implementira putem routera koji služi kao posrednik između privatnog i javnog IP adresnog prostora.
• Router mora imati minimalno jednu javnu adresu koju koristi kao izvorište i destinaciju za sav saobrećaj prema javnom IP prostoru.

• Router za NAT mora modificirati adrese izvorišta i destinacije za pakete kao i portove.

• Router mora održavati stanje u formi mape koja minimalno čuva parove:
  • (iIP, iPort) <-> (eIP, ePort)
• Parovi u mapi se mogu definiriati statički i/ili dinamički analizirajući saobrećaj koji ima izvorište u internoj mreži.

• Za kreiranje dinamičkih parova, iptables koristi nat tabelu u POSTROUTING lancu i to sa SNAT i MASQUARADE targetim-a.

iptables -t nat -A POSTROUTING -o eth2 -j MASQUERADE
iptables -t nat -A POSTROUTING -s 192.168.100.0/24 -o eth2 -j SNAT --to-source 31.47.18.95

• Za kreiranje statičkih parova u nat, iptables koristi nat tabelu u PREROUTING lancu i to sa DNAT target-om.

iptables -t nat -A PREROUTING -i eth2 -p udp --dport 22000 -j DNAT --to-destination 10.0.1.3:5000

IPV6

• IPV6 je mrežni protokol namjenjen da otkloni niz nedostataka IPV4 protokola.
  • Nekompatibilan je sa IPV4.

• Kao i IPV4 enkapsulira se u L2 okvire.

• Zaglavlje IPV6 paketa je fiksne dužine.
• Određena polja imaju slično ili identično značenje kao u IPV4 paketu, često uz promjenjeno ime polja.
• Određena polja su u potpunosti izostavljena.

• Minimalni MTU IPV6 paketa je 1280b.
• IPV6 paketi se ne mogu fragmentirati od strane router-a.

• Fragmentacija jedino moguća na strani pošiljaoca paketa, kada se u zaglavlje fragmentiranih IPV6 paketa dodaje Fragmentation Extension header.
  • Next Header polje za ovu ekstenziju u IPV6 paketu je 44.

• IPV6 adrese su 128-bitne.
• Reprezentiraju se u hex formatu, i to u 8-grupa od po 16 bita koje su međusobno razdvojene sa karakterom :.
• Svaki interface može imati više IPV6 adresa.

• Adrese je moguće prikazivati u kompresovanom formatu:
• Pravila kompresije:
  1. Vodeće hex cifre 0 unutar grupe se mogu izostaviti.
  2. Grupa u kojoj su sve cifre 0 se može kompletna izostaviti.
     • Ovo uključuje više sukcesivih grupa koje potpadaju pod ovo pravilo.
     • Pravilo je moguće aplicirati samo jednom.

• Primjer kompresije:
  1. 2001:db8:aaaa:0001:0000:0000:0000:0100
  2. 2001:db8:aaaa:1:0:0:0:100
  3. 2001:db8:aaaa:1::100

• Kao i kod IPV4, adrese imaju prefiks koji identificira mrežu, i sufiks koji identificira adapter u mreži.

• IPV6 adrese mogu biti:
  • unicast - Identificira jedan mrežni adapter.
  • multicast - Identificiar grupu mrežnih adaptera (svim adapterima u grupi se šalje poruka primljena na zajedničkoj adresi).
  • anycast - Identificiar grupu mrežnih adaptera (samo jednom odabranom adapteru se šalje primljena poruka na zajedničkoj adresi).

• Prefiks kod globalnih unicast adresa se sastoji od dva dijela.
  1. Global Routing Prefix - id krajnje lokacije (npr. univerzitet, kompanija, kuća itd.)
  2. SubnetID - id podmreže na krajnjoj lokaciji (npr. fakultet, organizaciona jedinica itd.)

• Alokacija GRP je hijerarhijska.

• InterfaceID se može generirati automatski i zato se koriste dvije šeme:
  • Nasumično.
  • EUI-64 šema.
• EUI-64 šema formira InterfaceID na osnovu MAC adrese.

• Svaki adapter automatski dobija link lokalnu adresu čiji je prefix fe80::/64, npr.:
  • fe80::8ef8:e5e2:c477:16ae/64
  • fe80::481d:70ff:fe6f:9503/64
• Link lokalne adrese omogućavaju komunikaciju striktno unutar lokalne mreže u kojoj učestvuje adapter.

IPV6 Multicast

• IPV6 ne podržava broadcast.
• Multicast adrese identificiraju grupu adaptera i omogućavaju komunikaciju jedan na više.
  • Node se mora učlaniti u grupu upotrebom MLD (Multicast Listener Discovery) protokola.
  • Svaki node može poslati paket u grupu, kojeg primaju i procesiraju svi članovi grupe.

• Poznate link lokalne grupe:
  • ff02::1 - nodovi,
  • ff02::2 - routeri,
  • ff02::5 - OSPFv3 SPF routeri,
  • ff02::6 - OSPFv3 DR routeri,
  • ff02::9 - RIP routeri,
  • ff02::a - EIGRP routeri,
  • ff02::d - PIM routeri,
  • ff02::16 - Svi MLDv2 routeri,
  • ff02::1:2 - DHCP serveri,
  • ff02::fb - Multicast DNS.

• Pored ff02:1 grupe, svaki interfejs je član Solicited-node multicast grupe i to za svaku IP adresu koja je dodijeljena interfejsu.
  • prefix grupe je ff02::1:ff00:0/104
  • potpuna adresa grupe dobija se kopiranjem posljednjih 24 bita iz IP adrese.

IPV6 - Ethernet Multicast mapiranje

• IPV6 multicast grupa se mapira u adekvatnu Ethernet grupu na L2 sloju.
• MAC adrese 33-33-xx-xx-xx-xx rezervirane su za multicast grupe.
• Donjih 32-bita adrese kopira se iz IPV6 multicast adrese.

• Switch-evi koji implementiraju MLD snooping mogu asocirati svoje portove sa multicast adresama.
  • Jefitini switch-evi tretiraju ethernet multicast adrese na način da ih proslijeđuju na sve portove.